昨日、Twitter見たんです。Twitter。 そしたらなんか普段は脆弱性の話なんかしない連中まで、PHPの脆弱性で大騒ぎしてるんです。 で、よく見たらなんかphp2shellとか書いてあるんです。 もうね、アホかと。馬鹿かと。 お前らな、php2shellが話題になったくらいで普段見向きもしない脆弱性対応に群がってんじゃねーよ、ボケが。 Criticalだよ、Critical。 お前らが昨日まで見過ごしてた脆弱性もCriticalだろうが。 なんか普段セキュリティに興味ない人とかもいるし。全社総出で脆弱性対応か。おめでてーな。 よーしパパ緊急セキュリティ対応しちゃうぞー、とか言ってるの。もう見てらんない。 お前らな、CVSS 10.0のチケットやるからその席空けろと。 脆弱性対応ってのはな、もっと殺伐としてるべきなんだよ。 本番環境のバージョン一覧を挟んで、開発担当とインフラ担当がいつ喧嘩を始めてもおかしくない、パッチを当てるかサービスを止めるか、そんな雰囲気がいいんじゃねーか。 にわか有識者は、すっこんでろ。 で、やっと影響範囲の確認が始まったかと思ったら、隣の奴が、とりあえずWAFで、とか言ってるんです。 そこでまたぶち切れですよ。 あのな、WAFで防げるかも確認せずにとりあえずWAFなんてきょうび流行んねーんだよ。ボケが。 得意げな顔して何が、とりあえずWAFで、だ。 お前は本当に自社が影響を受けるのか把握してるのかと問いたい。問い詰めたい。小一時間問い詰めたい。 お前、WAFって言いたいだけちゃうんかと。 脆弱性対応通の俺から言わせてもらえば今、通の間での最新流行はやっぱり、影響範囲の棚卸し、これだね。 影響範囲の棚卸し、悪用可能性の確認、パッチ適用。これが通の頼み方。 棚卸しってのは使ってるソフトウェアを把握できる。そん代わり放置してる脆弱性も見つかる。これ。 で、それに悪用可能性と事業影響を踏まえた優先順位付け。これ最強。 しかしこれを頼むと今まで見過ごしてた脆弱性が大量に見つかって対応に追われるという危険も伴う、諸刃の剣。 素人にはお薦め出来ない。 まあお前らド素人は、未対応のDependabot Alertsでも眺めてなさいってこった。